Event ID 4663: Es wurde versucht, auf ein Objekt zuzugreifen
Event ID 4663 protokolliert Zugriffe auf per SACL überwachte Dateien, Ordner und Registry-Schlüssel: wer was mit welcher Maske berührt hat. Setup, Hunts.
Notizen zum Ereignisprotokoll
Event ID 4672 erklärt: privilegierte Anmeldungen in Windows erkennen
Event ID 4672 feuert, sobald einer Anmeldung sensible Privilegien wie SeDebugPrivilege oder SeTcbPrivilege gewährt werden. Lies es als das Signal admin-äquivalenter Sitzungen.
Event ID 4688 erklärt: Windows-Prozesserstellungs-Auditing für DFIR
4688 ist der Prozesserstellungs-Datensatz des Basis-OS, vorausgesetzt Command-Line-Auditing ist an. Hier ist, was drinsteht, wie er sich von Sysmon 1 unterscheidet und welche Triage-Muster sich lohnen.
Event ID 4720 erklärt: bösartige Kontoerstellung in AD erkennen
4720 feuert jedes Mal, wenn ein Benutzerkonto erstellt wird, lokal oder Domäne. Lies es mit 4722, 4724 und 4732, und du fängst Persistenz- und Lateral-Movement-Konten innerhalb von Minuten.
Event ID 4768 erklärt: Kerberos-TGT-Anfragen und AS-REP-Roasting
4768 ist der DC-Datensatz jedes ausgestellten TGT. Lies ihn über den Result-Code und das Pre-Auth-Flag, und du erkennst AS-REP-Roasting, Brute Force und Missbrauch unconstrained delegation.
Event ID 4769 erklärt: Kerberos-Service-Tickets und Kerberoasting
4769 ist der DC-Datensatz jeder Service-Ticket-Anfrage. Lies ihn über den Verschlüsselungstyp und du erkennst Kerberoasting. Lies ihn mit 4768 und du erkennst Pass-the-Ticket.
Event ID 7036 erklärt: Dienstzustandsänderungen für die DFIR-Triage
7036 feuert jedes Mal, wenn ein Dienst startet oder stoppt. Gepaart mit 7045 bestätigt es, ob die Persistenz tatsächlich gelaufen ist. Allein offenbart es Dienstmissbrauch, Defense Evasion und Boot-Anomalien.
Eine .evtx-Datei öffnen (5 Methoden, keine Installation erforderlich)
Fünf Wege, eine Windows .evtx-Datei zu öffnen: im Browser, im Event Viewer, mit wevtutil, mit EvtxECmd oder mit python-evtx. Wählen Sie nach Host-OS und wie viel Reibung Sie aushalten.
Was ist eine .evtx-Datei? Das Windows-Ereignisprotokollformat erklärt
Eine .evtx-Datei ist ein binäres Windows-Ereignisprotokoll. Wo sie liegen, was drinsteckt, wie sie sich von .evt unterscheiden und wie man sie öffnet. Keine Installation nötig.